Imagine que você está dirigindo em uma estrada, tranquilamente, tendo a certeza de que nada está errado com o seu carro e vendo a paisagem passar a mais de 100km/h, como quase todos os outros motoristas ao seu redor. Nada iminente te aborrece e o maior problema que você enfrenta no momento é um ou outro caminhão passando ao seu lado. Tudo na mais perfeita ordem que poderia ser alcançada no momento.

De repente, o seu ar-condicionado liga sem você ter mexido em nada, e jogando o ar mais gelado possível. Você poderia pensar “eu acabei de levar este carro para a revisão, e já está com problema?”. Em seguida, seu rádio também liga sem qualquer motivo e começa a tocar algo no volume máximo. Enquanto você, assustado, tenta baixar o volume e desligá-lo a todo custo, seus limpadores de parabrisa começam a ir de um lado para o outro mesmo com o botão desligado. De repente, você sente que algo cortou a transmissão do seu carro.

Pisando no acelerador a todo custo, você vê o seu contador de giros subindo e o seu carro perdendo velocidade sem qualquer explicação. Neste momento você atinge uma subida e ele perde todo o momento, sem um acostamento na pista e com vários outros motoristas encostando em você antes de passarem, buzinando. Um caminhão de 9 eixos aparece em seu retrovisor, crescendo.

Neste momento, você desiste da brincadeira, pega seu celular e pede para quem está fazendo tudo isso parar.

Brincadeira wireless

wireless

Charlie Miller (esquerda) e Chris Valasek brincando com o Jeep Cherokee que Andy dirigia na rodovia, na casa de Miller, a mais de 15km de distância (Créditos: Whitney Curtis/Wired)

Toda esta cena se passou na cidade de St. Louis, EUA, na rodovia Interstate 64. O motorista que participou da “brincadeira” chama-se Andy Greenberg, escritor no site de notícias de tecnologia WIRED sobre temas como segurança da informação e cultura hacker. E quem causou ela foram os hackers profissionais Charlie Miller e Chris Valasek, especialistas em invadir sistemas eletrônicos de automóveis modernos. Tudo foi feito em comum acordo entre os participantes, numa experiência para demonstrar a fragilidade de segurança dos sistemas eletrônicos presentes hoje em muitos carros modernos. A história completa foi contada em um artigo [1] de Andy, publicado no WIRED no dia 21 de julho deste ano.

Não foi a primeira vez que os três fizeram algo parecido. Em 2013, eles andaram em um estacionamento em Indiana, EUA, com um Toyota Prius e um Ford Escape. A diferença daquela vez para esta foi o fato de que naquele momento eles só conseguiam acesso ao carro por meio de fios ligados à porta de diagnóstico do painel, ou seja, havia uma dependência física de cabos. Tanto que os hackers estavam sentados no banco de trás, disparando a buzina, desligando os freios e comandando o volante enquanto Andy tentava dirigir.

andy

Andy Greenberg no Jeep Cherokee, enquanto Chrys e Charlie controlavam várias de suas funções por meio de um ataque wireless (Créditos: Wired)

Desta vez, o carro usado foi um Jeep Cherokee, e a invasão não precisou de fios. Segundo Miller e Valasek, a técnica de ataque wireless que eles desenvolveram parece funcionar em qualquer veículo da Chrysler fabricado do fim de 2013 até o começo de 2015. Estes possuem um computador de bordo conectado à Internet chamado Uconnect, que atualmente está presente em centenas de milhares de carros, utilitários (SUVs) e caminhões da fabricante, e que é a porta de entrada para a invasão. Além de controlar a navegação e funções de entretenimento do veículo, realizar ligações de telefone e oferecer um hot spot Wi-fi, o computador, através de uma falha que os hackers pretendem divulgar na conferência Black Hat deste ano, permite ganhar acesso ao carro apenas conhecendo o endereço IP dele na Internet, de qualquer lugar nos EUA, usando uma rede de celular da Sprint (somente dispositivos da Sprint podem se conectar a eles).

O arsenal completo do ataque inclui funções que a velocidades baixas desligam totalmente o motor, acionam violentamente os freios, ou desabilitam-nos totalmente. Após eles saírem da estrada e irem para um lugar mais seguro, os hackers chegaram a cortar os freios de Andy, forçando-o a jogar o carro em uma vala enquanto ele pisava nos pedais freneticamente. Por enquanto, eles só conseguiram controlar a direção com o Jeep andando de ré. Além de tudo isso, eles também podem seguir as coordenadas GPS do veículo, medir a sua velocidade e até mesmo colocar marcas em um mapa, sinalizando e monitorando o seu trajeto. Segundo as palavras de Andy, tudo isto só é possível porque “os fabricantes atualmente estão fazendo de tudo para transformar o automóvel moderno em um celular”.

Como assim vão divulgar uma falha grave como essa? O que eu faço?

andy2

Andy precisou jogar o Jeep Cherokee em uma vala, por seus freios terem sido desabilitados (Créditos: Andy Greenberg/Wired)

Miller e Valasek já estão divulgando os resultados de sua pesquisa em segredo com a própria Chrysler há cerca de nove meses. A fabricante inclusive liberou um patch de correção para estes dispositivos no dia 16 de julho, sem qualquer menção à dupla (apenas se referiu a um “programa contínuo de teste de sistemas de veículos para identificar vulnerabilidades e desenvolver soluções”). Infelizmente, o patch só pode ser instalado manualmente usando a porta USB do Uconnect, o que levou ao anúncio, dia 24 de julho, de um recall de 1,4 milhão de veículos, após a repercussão do artigo [2]. Sabendo da falha grave e da grande probabilidade de muitos carros continuarem vulneráveis, a Chrysler, por conta própria, está enviando um pendrive com a correção para cada dono dos veículos afetados pela falha (o que gera um prejuízo fácil de calcular, ao contrário do prejuízo intangível à própria marca). Mesmo assim, a fabricante disse que aprecia o trabalho da dupla, mas não considera apropriada a decisão deles de divulgar os detalhes da brecha publicamente durante a conferência.

Os hackers dizem que a divulgação é importante e necessária por dois motivos. O primeiro é para que a pesquisa deles seja testada e comprovada por outros especialistas da área. O segundo é mandar uma mensagem para os fabricantes de automóveis e os consumidores, e deixá-los conscientes da gravidade desse tipo de falha. Miller disse que “este é o tipo de bug de software com mais chance de matar alguém”.

Os dois já demonstraram um ataque a sistemas eletrônicos de carros publicamente, na conferência hacker DefCon de 2013. Porém, fabricantes como Toyota e Ford na época não deram importância à demonstração, por ela ter sido feita usando fios ligados diretamente ao veículo. A Toyota inclusive disse que seus sistemas eram “robustos e seguros contra ataques sem fio”. A partir dessse momento os dois viram que só gerariam o impacto que eles queriam se conseguissem demonstrar um ataque wireless. Depois de quase dois anos de muito estudo, pesquisas, engenharia reversa e caça a brechas no software do Jeep Cherokee (o qual eles concluíram ser o modelo mais fácil de ser invadido entre os pesquisados, numa lista que incluía nomes como o Cadillac Escalade e o Infiniti Q50), eles chegaram ao ponto de poderem escanear as redes da Sprint várias vezes em busca de veículos vulneráveis, e conseguiram estimar que o número deles gira em torno de nada mais nada menos que 471 mil carros.

O trabalho deles já chegou ao Congressso Americano. Os senadores Ed Markey e Richard Blumenthal planejam apresentar uma nova legislação preparada para aumentar as proteções em carros contra ataques de hackers. A carta pretende pedir a órgãos do governo federal que novos padrões de segurança sejam criados e que um sistema de avaliação de privacidade e segurança seja colocado em prática para os sistemas eletrônicos em veículos. “Motoristas não devem escolher entre estarem conectados e estarem protegidos”, Markey disse em uma declaração à WIRED. Ele segue a pesquisa de Milley e Valasek há anos.

Mesmo sem serem forçados por alguma regulação, os fabricantes hoje estão pensando na sua segurança digital mais do que jamais haviam pensado. Porém, os mesmos fabricantes estão tão focados na competição para garantir cada vez mais features em seus sistemas eletrônicos (o Uconnect é apenas um entre muitos já disponíveis) que o incentivo no momento está sendo maior para adicionar funcionalidades novas (que também geram um bom ganho mensal às montadoras) do que para protegê-las de ataques, diz Josh Cornan, cofundador da I Am the Cavalry, uma organização de segurança da indústria dedicada a proteger possíveis futuros alvos de ataques na Internet of Things (IoT). Ele recomenda que as montadoras se tornem amigas dos hackers, para que eles possam ajudá-las a identificar as inevitáveis falhas de software. Entre as boas práticas que ele também recomenda às fabricantes estão os testes feitos por terceiros nos sistemas que elas usam nos veículos.

Milley e Valasek acreditam que agora conseguiram atingir o impacto que desejavam no mundo dos veículos modernos com sistemas eletrônicos a bordo. “Para todos os críticos em 2013 que disseram que o nosso trabalho não era importante porque estávamos ligados ao painel do carro”, disse Valasek, “e agora?”.

Mas a minha empresa não produz carros. Eu preciso me preocupar com tudo isso?

Avi Rubin

Avi Rubin, durante sua conferência no TED em 2011, em que abordou a fragilidade de segurança de sistema eletrônicos médicos como marca-passos (Créditos: TED Conferences, LLC)

Invasões wireless a carros no momento são raras. Sem contar alguns métodos usados por ladrões para destravar portas de carros [3], até hoje só houve um ataque desse tipo usado especificamente para tomar o controle de sistemas eletrônicos de veículos [4]. Em 2010, um ex-empregado de uma concessionária em Austin, Texas, resolveu usar um sistema instalado nos carros vendidos pela concessionária para disparar buzinas ou desligar sistemas de ignição em mais de 100 veículos. O sistema é usado normalmente para mandar lembretes a clientes de que um pagamento relativo ao carro está atrasado. Omar Ramos-Lopez, insatisfeito por ter sido demitido um mês antes pelo estabelecimento, foi preso pela polícia texana após ser identificado como o autor do ataque.

Mas esse tipo de ataque não se resume somente a carros, ou redes de computadores. Avi Rubin, especialista em segurança de sistemas e redes e professor de ciência da computação na Universidade John Hopkins, já demonstrou vulnerabilidades sérias em dispositivos que vão desde smartphones e rádios até equipamentos médicos como marca-passos [5]. Alguns marca-passos modernos podem ser reprogramados diretamente por médicos através de uma rede. Porém, qualquer dispositivo conectado a uma rede pode estar vulnerável a ataques. Avi e seu time demonstraram, através de experimentos, que era possível obter dados confidenciais de pacientes, mudar o ritmo do marca-passo, interferir em terapias programadas e, por fim, desabilitar o dispositivo por completo!

Todos estes exemplos sérios de ataques sem fio demonstram a severidade com que devemos encarar o desenvolvimento de dispositivos acessíveis em alguma rede. Uma lição que devemos aprender é que sempre que possível devemos tomar cuidado com as redes que acessamos e os dados confidenciais que expomos. Outra lição é que os engenheiros de sistemas e dispositivos modernos devem sempre tentar criar meios que ajudem a proteger os consumidores de ataques externos e fazer a vida, pelo menos nessa área técnica, mais segura. Testes de terceiros ajudam a detectar problemas, que podem parecer óbvios quando encontrados, mas que só alguém que não se envolveu com a criação de um produto poderia enxergar.

Você sabe se o seu produto protege seus consumidores de ataques maliciosos em redes? Você tem certeza que o seu site não oferece nenhuma brecha para roubo ou perda de dados preciosos? Sua API é totalmente à prova de hackers experientes e com possíveis más intenções? Clique aqui e descubra.

Bibliografia:
 [1] Greenberg, Andy. "Hackers Remotely Kill a Jeep on the Highway-With Me in It." Wired.com. Conde Nast Digital, 21 July 2015. Web. 06 Aug. 2015.
 [2] Greenberg, Andy. "After Jeep Hack, Chrysler Recalls 1.4M Vehicles for Bug Fix." Wired.com. Conde Nast Digital, 24 July 2015. Web. 06 Aug. 2015.
 [3] Bilton, Nick. "Keeping Your Car Safe From Electronic Thieves." The New York Times. The New York Times, 15 Apr. 2015. Web. 07 Aug. 2015.
 [4] Poulsen, Kevin. "Hacker Disables More Than 100 Cars Remotely." Wired.com. Conde Nast Digital, 17 Mar. 2010. Web. 06 Aug. 2015.
 [5] Rubin, Avi. "All Your Devices Can Be Hacked." Avi Rubin:. TED Conferences, LLC, Oct. 2011. Web. 06 Aug. 2015.